Продолжая день ИТ-кликбейта нельзя не упомянуть другую свежую историю. В PHP нашли критическую уязвимость. Коротенько по сабжу по ссылке, но, если очистить от излишней истерики, то ситуация лютая. Дано: как минимум 2 месяца достаточно широкому кругу лиц была известна лазейка, позволяющая скомпрометировать фактически любой сайт, использующий PHP. А это, действительно, порядка 2\3 интернета. Понятное дело, что это некоторое драматизированное изложение. В идеальном мире есть аудит безопасности, который мог бы обнаружить эксплуатацию этой конкретной PHP2Shell. При этом пока что массовых жалоб на какие-то таинственные взломы не было. Но это в идеальном мире. Во-первых, аудит работает не у всех и, даже, если работает — не всегда его события мониторятся (видел своими глазами, как почти год в одном небольшом сервисе администратора спамило сообщениями об очевидном взломе, которые он тупо игнорил) Во-вторых, судя по всему, PHP2Shell позволяет не только выполнять команды, но и читать содержимое памяти PHP-процесса, а это означает, потенциальную возможность извлекать токены, пароли и другие секреты. Насколько хорошо детектируется подобное — вопрос интересный и лично я ответа на него не знаю. AWS обнаружила попытки эксплуатации PHP2Shell ещё 17 октября 2026 года, за четыре дня до официальной публикации уязвимостей, но из отчета не следует, что именно они увидели. Т.е. риск того, что этой уязвимостью нулевого дня уже кто-то незаметно воспользовался, мягко говоря, ненулевой. Ну и, самое стрёмное, это то, что далеко не все вовремя устанавливает обновления (или в принципе устанавливают их). До сих пор чуть ли не треть серверов используют PHP старше версии 8.1 (которые в принципе уже не поддерживается, не обновляется и вообще дырявый, как решето). Сколько из оставшихся регулярно обновляются — загадка великая есть. По моему личному опыту далеко не все крупные компании оперативно обновляют всё своё ПО, а уж о малом бизнесе или личных сайтах и говорить нечего. Тут, правда, есть другой, уже позитивный нюанс: хостинг-провайдеры могут принудительно обновить PHP для всех клиентов, даже без их согласия. Но на практике всё зависит от конкретного хостинга и того, насколько сильно обновление может нарушить работу сайтов (а тут тоже есть всякие весёлые риски). Короче, неделька весьма суматошная вышла и дальше может стать сильно хуже. В условиях того, что сейчас различные нейросети ударно трудятся по созданию всё новых и новых эксплойтов, это явно не последний случай, когда будет найдена подобная критическая уязвимость в каком-нибудь массово используемом ПО. Так-то их и до этого находили регулярно, в ручном режиме, но автоматизация процесса позволяет значительно увеличить КПД специалистов по пентесту. Что не может не беспокоить, особенно на фоне офигительных историй про индусов, шифрующих свои сертификаты однозначными паролями.